Acuerdo de Tratamiento de Datos (artículo 28 del RGPD)

«RGPD» designa el Reglamento (UE) 2016/679. Los términos «Responsable del Tratamiento», «Encargado del Tratamiento», «Interesado», «Datos Personales», «Violación de la Seguridad de los Datos Personales» y «tratamiento» tienen el significado que les atribuye el RGPD. «Datos Personales del Cliente» designa los datos personales tratados por Kerna por cuenta del Responsable del Tratamiento en virtud del Contrato. «Contrato» designa los términos de servicio o el contrato relativos a Kerna, del que este DPA forma parte. «Formulario de Pedido» designa un documento formalizado por ambas partes en el que constan condiciones específicas para una cuenta personalizada; la mayoría de las suscripciones se adquieren a través del sitio web y no tienen Formulario de Pedido. «Subencargado del Tratamiento» designa otro encargado del tratamiento al que Kerna recurra en el sentido del artículo 28, apartados 2 y 4, del RGPD. Las notificaciones, confirmaciones y acuerdos «por escrito» o «escritos» previstos en este DPA podrán efectuarse por correo electrónico.

Orden de prelación. En materia de protección de datos, este DPA prevalece sobre el Contrato. Cuando se haya formalizado un Formulario de Pedido, este prevalece sobre el presente DPA en la medida en que lo modifique expresamente; una estipulación de un Formulario de Pedido que no regule expresamente una cuestión contemplada en este DPA deja que dicha cuestión se rija por este DPA.

Este DPA forma parte del Contrato y surte efecto cuando el Responsable del Tratamiento acepta el Contrato: en el caso del plan gratuito, al instalar los Servicios o al crear una cuenta; en el caso de una suscripción adquirida a través del sitio web, al completarse la compra; en el caso de una cuenta personalizada, con la formalización del Formulario de Pedido.

No se requiere una firma separada para una cuenta o suscripción obtenida sin Formulario de Pedido: el artículo 28, apartado 9, del RGPD exige que el contrato conste por escrito, inclusive en formato electrónico, y la aceptación del Contrato cumple dicho requisito. Kerna registra la cuenta y la fecha de aceptación y conserva todas las versiones publicadas de este DPA, de modo que siempre pueda determinarse la versión aceptada; en el caso de una compra a través del sitio web, registra además la versión aceptada.

La persona que acepta el Contrato garantiza que está facultada para obligar a la empresa, la organización o el profesional que figure como titular de la cuenta, y dicha empresa, organización o profesional es el Responsable del Tratamiento a efectos de este DPA.

Versiones. Kerna publica la versión vigente de este DPA en kerna.io/dpa y notifica al contacto administrativo toda modificación sustancial con una antelación mínima de 30 días. Una modificación exigida por la ley o por una autoridad de control, o que no reduzca la protección ni los derechos del Responsable del Tratamiento en virtud de este DPA ni modifique la naturaleza ni los fines del tratamiento ni las categorías de datos personales, podrá surtir efecto tras dicho preaviso; el Responsable del Tratamiento podrá dar por terminados los Servicios afectados antes de la fecha de efecto, sin penalización, y recibir el reembolso proporcional de las tarifas abonadas por anticipado correspondientes al período no utilizado. Cualquier otra modificación sustancial requiere la aceptación electrónica expresa del Responsable del Tratamiento; hasta que el Responsable del Tratamiento la acepte, sigue aplicándose la última versión que haya aceptado. Las correcciones no sustanciales surten efecto desde su publicación.

Cuando se haya formalizado un Formulario de Pedido, la versión de este DPA vigente en el momento de dicha formalización se aplica durante la vigencia de ese Formulario de Pedido y solo puede modificarse por acuerdo entre las partes.

Formalización a petición. Un Responsable del Tratamiento sin Formulario de Pedido puede solicitar un ejemplar de este DPA firmado por ambas partes, y Kerna se lo facilitará en las condiciones publicadas. Para dichos Responsables del Tratamiento, la versión publicada se aplica por igual y no es objeto de negociación. Las condiciones específicas de protección de datos solo están disponibles para una cuenta personalizada en virtud de un Formulario de Pedido.

El Responsable del Tratamiento es el responsable del tratamiento y Kerna es el encargado del tratamiento de los Datos Personales del Cliente. Kerna trata los Datos Personales del Cliente únicamente para prestar los Servicios y únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento. El Contrato, la suscripción del Responsable del Tratamiento, cualquier Formulario de Pedido y la configuración y el uso que el Responsable del Tratamiento haga de los Servicios constituyen las instrucciones documentadas del Responsable del Tratamiento; cualquier instrucción adicional deberá acordarse por escrito. Kerna informa inmediatamente al Responsable del Tratamiento si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros (sin obligación de prestar asesoramiento jurídico). El objeto, la duración, la naturaleza, la finalidad, los tipos de datos y los interesados se establecen en el Anexo I.

• (a) tratar los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento, inclusive con respecto a las transferencias, salvo que lo exija el Derecho de la Unión o de los Estados miembros, en cuyo caso Kerna informará al Responsable del Tratamiento antes del tratamiento, salvo que dicho Derecho lo prohíba;
• (b) garantizar que las personas autorizadas para tratar los datos estén sujetas a una obligación de confidencialidad;
• (c) adoptar todas las medidas de seguridad exigidas en virtud del artículo 32 (Anexo II);
• (d) recurrir a Subencargados del Tratamiento únicamente en las condiciones previstas en la cláusula 5;
• (e) teniendo en cuenta la naturaleza del tratamiento, asistir al Responsable del Tratamiento, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de los Interesados (capítulo III);
• (f) ayudar al Responsable del Tratamiento a garantizar el cumplimiento de los artículos 32-36 (seguridad, notificación de violaciones de la seguridad, evaluación de impacto relativa a la protección de datos, consulta previa);
• (g) a elección del Responsable del Tratamiento, suprimir o devolver todos los Datos Personales del Cliente una vez finalizada la prestación de los Servicios, y suprimir las copias existentes, salvo que la ley exija su conservación;
• (h) poner a disposición toda la información necesaria para demostrar el cumplimiento de la presente cláusula, y permitir y contribuir a la realización de auditorías (cláusula 11).

Kerna aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, según se describe en el Anexo II. Entre las medidas principales figuran el cifrado en tránsito y en reposo; el tratamiento transitorio en memoria del contenido de los correos electrónicos, sin almacenamiento persistente en los servidores de Kerna; los límites de entrada y el enmascaramiento de los números de tarjetas de pago y de cuentas bancarias, así como de determinados números nacionales de identificación, antes de su transmisión al subencargado de IA; las condiciones de conservación cero de datos y de prohibición contractual de entrenamiento con dicho subencargado; la verificación de los resultados; los controles de acceso, y la analítica seudonimizada. El Anexo II establece asimismo dónde se conservan temporalmente los datos derivados de los correos electrónicos, incluso en el propio dispositivo del usuario.

El Responsable del Tratamiento otorga una autorización general por escrito para que Kerna recurra a los Subencargados del Tratamiento enumerados en el Anexo III, que Kerna mantiene actualizado en el lugar en que se publica este DPA. Kerna impone a cada Subencargado del Tratamiento, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en este DPA, tal como exige el artículo 28, apartado 4, del RGPD, en particular en lo relativo a la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. Cuando las condiciones estándar de un Subencargado del Tratamiento no reproduzcan una obligación en la misma forma, Kerna deja constancia de cómo se cumple dicha obligación en cuanto al fondo. Kerna notificará por escrito al Responsable del Tratamiento, con una antelación mínima de 30 días, cualquier incorporación o sustitución prevista de un Subencargado del Tratamiento. El Responsable del Tratamiento podrá oponerse por motivos razonables relativos a la protección de datos en un plazo de 15 días desde la recepción de dicha notificación. Si las partes no logran resolver la oposición en un plazo adicional de 30 días, el Responsable del Tratamiento podrá dar por terminados los Servicios afectados sin penalización y con el reembolso proporcional de las tarifas abonadas por anticipado correspondientes al período no utilizado. Mientras no se resuelva la oposición, Kerna no utiliza al nuevo Subencargado del Tratamiento para tratar los Datos Personales del Cliente de ese Responsable del Tratamiento; cuando ello no sea técnicamente posible, Kerna lo comunica antes de que el cambio surta efecto, y el Responsable del Tratamiento podrá dar por terminados los Servicios afectados antes de dicha fecha en las mismas condiciones. Kerna sigue siendo plenamente responsable ante el Responsable del Tratamiento del cumplimiento de sus obligaciones por parte de cada Subencargado del Tratamiento.

Cuando un Subencargado del Tratamiento notifique a Kerna una violación de la seguridad de los datos personales, una solicitud de un interesado que haya recibido, la incorporación o sustitución de sus propios subencargados o cualquier cuestión relativa a las Cláusulas Contractuales Tipo, Kerna remitirá dicha notificación al Responsable del Tratamiento afectado con prontitud y sin dilación indebida tras su recepción.

La remisión no está condicionada a que Kerna concluya que la cuestión afecta a los datos del Responsable del Tratamiento o entraña un riesgo: dicha valoración corresponde al Responsable del Tratamiento. Las notificaciones se remiten en el momento de su recepción y no tras una valoración, de modo que el Responsable del Tratamiento conserve íntegro el tiempo de que dispone para plantear sus inquietudes y el plazo íntegro de que dispone en virtud de los artículos 33 y 34. Cuando un Subencargado del Tratamiento solo permita oponerse a sus propios subencargados en condiciones cuyo único remedio sea la resolución, Kerna lo indicará al remitir la notificación.

Teniendo en cuenta la naturaleza del tratamiento, Kerna asiste al Responsable del Tratamiento, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para que este pueda cumplir su obligación de responder a las solicitudes de los Interesados. Si Kerna recibe directamente de un Interesado una solicitud relativa a Datos Personales del Cliente, no responderá a ella salvo por instrucción documentada del Responsable del Tratamiento y la remitirá con prontitud al Responsable del Tratamiento.

La funcionalidad de supresión de cuentas descrita en la cláusula 10 no constituye una excepción a lo anterior. Cuando un usuario suprime su propia cuenta a través de los Servicios, Kerna actúa siguiendo una instrucción documentada del Responsable del Tratamiento en el sentido de la cláusula 2, dado que el Responsable del Tratamiento ha autorizado dicha funcionalidad mediante su configuración y uso de los Servicios. Kerna no da curso a una solicitud de un Interesado recibida fuera de los Servicios sin instrucción del Responsable del Tratamiento.

Kerna notifica al Responsable del Tratamiento, sin dilación indebida tras tener conocimiento de ella, toda Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente, y le facilita la información razonablemente disponible para ayudarle a cumplir sus obligaciones en virtud de los artículos 33 y 34. Una violación de la seguridad notificada a Kerna por un Subencargado del Tratamiento se remite además conforme a la cláusula 5a en el momento de su recepción, sin esperar a la propia valoración de Kerna.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, Kerna presta asistencia razonable al Responsable del Tratamiento en relación con las evaluaciones de impacto relativas a la protección de datos y la consulta previa a la autoridad de control previstas en los artículos 35 y 36.

Las comunicaciones directas de datos que Kerna realiza en virtud de este DPA se efectúan a las entidades contratantes del EEE enumeradas en el Anexo III, con una excepción: los datos de errores y de rendimiento enviados a Sentry, cuya entidad contratante, Functional Software, Inc., está establecida en los Estados Unidos. La cadena de tratamiento incluye asimismo transferencias internacionales ulteriores realizadas por determinados Subencargados del Tratamiento, entre ellas el tratamiento de contenido de IA en los Estados Unidos por parte de OpenAI tras su comunicación a OpenAI Ireland Limited.

Cuando un Subencargado del Tratamiento realiza una transferencia ulterior, debe aplicar un mecanismo válido del capítulo V. Kerna documenta la estructura de la transferencia, verifica el mecanismo contractual y las medidas complementarias en el marco de la diligencia debida prevista en el artículo 28, y pone la información pertinente a disposición del Responsable del Tratamiento. Este reparto no reduce las obligaciones de Kerna como Encargado del Tratamiento en virtud de este DPA.

El contenido de los correos electrónicos enviado para una acción de IA es tratado en los Estados Unidos por el subencargado de IA en el marco de dicha estructura, con sujeción a condiciones de conservación cero de datos y de prohibición contractual de entrenamiento: el contenido enviado para una acción de IA no se conserva ni se utiliza para entrenar modelos. El análisis de dicho tratamiento, incluida la evaluación del destino y de las medidas complementarias aplicadas, figura en la Evaluación de Impacto de las Transferencias de Kerna, que se pone a disposición del Responsable del Tratamiento previa solicitud.

La transferencia de Kerna a Sentry se basa en la decisión de adecuación de la Comisión Europea relativa al EU-U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.), en cuyo marco Sentry cuenta con certificación, con las Cláusulas Contractuales Tipo incluidas en la adenda de tratamiento de datos de Sentry como mecanismo alternativo. Sentry almacena estos datos en su región de datos de la Unión Europea (Frankfurt), pero puede acceder a ellos desde los Estados Unidos. Las transferencias ulteriores realizadas por otros Subencargados del Tratamiento se basan en el mecanismo que aplica cada Subencargado del Tratamiento, tal como se describe en la Evaluación de Impacto de las Transferencias.

El alojamiento y el almacenamiento se encuentran en la UE: la computación en Google Cloud Run en europe-west1 (Bélgica) y el almacenamiento en Firestore en europe-central2 (Varsovia).

La posición expuesta en la cláusula 9 se basa en el lugar de establecimiento de la entidad contratante de cada Subencargado del Tratamiento, que consta en el Anexo III y se revisa ante cualquier cambio. Cuando cambie la entidad contratante de un Subencargado del Tratamiento, o cuando Kerna recurra a otro Subencargado del Tratamiento establecido fuera del EEE, se implantará un mecanismo adecuado del capítulo V antes de que el cambio surta efecto y se notificará al Responsable del Tratamiento conforme a la cláusula 5.

El módulo utilizado en ese caso depende de la función de Kerna: el Módulo Dos, de responsable a encargado, cuando Kerna transfiere como responsable del tratamiento de sus propios datos; el Módulo Tres, de encargado a encargado, cuando Kerna transfiere como encargado del tratamiento por cuenta del Responsable del Tratamiento. El módulo, la versión y la fecha de las cláusulas en que se base la transferencia, en su caso, se registran en la Evaluación de Impacto de las Transferencias.

Este DPA regula únicamente el tratamiento que Kerna realiza como encargado del tratamiento por cuenta del Responsable del Tratamiento. Kerna también trata datos personales como responsable del tratamiento por cuenta propia: administración de cuentas (identidad de inicio de sesión, estado de la suscripción y comunicaciones de Kerna con los titulares de las cuentas), facturación, supervisión de la seguridad, analítica de producto y su sitio web. Dichas actividades quedan fuera del ámbito de este DPA, se rigen por la Política de privacidad de Kerna, y el Responsable del Tratamiento no es el responsable del tratamiento de las mismas. Nada de lo dispuesto en este DPA convierte a Kerna en encargado del tratamiento respecto de dicho tratamiento, ni hace al Responsable del Tratamiento responsable de este.

Los derechos de cambio de proveedor del Responsable del Tratamiento y las obligaciones correlativas de Kerna (preaviso, período transitorio, período de recuperación de datos, categorías y formatos de datos exportables, asistencia y tratamiento de las tarifas por cambio de proveedor) se establecen en el Anexo IV, que se aplica en los términos que en él se indican y forma parte del Contrato. El contenido de los correos electrónicos no se almacena en los servidores de Kerna y, por tanto, no requiere migración; permanece en todo momento en el propio entorno de correo del Responsable del Tratamiento.

A la expiración o terminación de los Servicios, Kerna suprime o devuelve los Datos Personales del Cliente, a elección del Responsable del Tratamiento, y suprime las copias existentes, salvo que la ley exija su conservación. En cualquier caso, el contenido de los correos electrónicos no se almacena en los servidores de Kerna durante la prestación de los Servicios (tratamiento transitorio), por lo que esta obligación se refiere a los datos de ajustes de los usuarios, de configuración y de equipo descritos en el Anexo I. Los datos derivados de los correos electrónicos que el complemento de Outlook conserva en el almacenamiento del navegador del propio dispositivo de un usuario expiran conforme al calendario establecido en el Anexo II; la supresión realizada por el propio usuario los borra en el dispositivo en el que se utiliza.

Dos vías

El artículo 28, apartado 3, letra g), exige la supresión o devolución a elección del Responsable del Tratamiento. No prescribe el mecanismo, y Kerna realiza la supresión de cuentas de equipo previa solicitud y no mediante un control de autoservicio.

Qué se conserva y por qué

Facturas y registros contables. Kerna conserva las facturas y los registros contables asociados a una suscripción durante el período exigido por la normativa contable y tributaria polaca, con independencia de cualquier supresión. Dicha conservación constituye una obligación legal de Kerna como responsable del tratamiento de sus propios registros de facturación y queda fuera del ámbito de este DPA; se menciona aquí porque es la pregunta más frecuente que suscita una supresión.

Copias de seguridad. Las copias conservadas en la recuperación a un momento determinado de Firestore (7 días) y en las copias de seguridad diarias (90 días) no se purgan de forma selectiva y expiran conforme a dicho calendario. Una copia de seguridad puede restaurarse a efectos de recuperación ante desastres. El proceso de conciliación exigido por la Política de Conservación y Supresión de Datos se aplica tras cada restauración y antes de que la base de datos vuelva a estar en servicio, de modo que las supresiones ya completadas dentro del intervalo cubierto por la copia de seguridad restaurada se aplican de nuevo.

Kerna pone a disposición del Responsable del Tratamiento la información necesaria para demostrar el cumplimiento, incluidas las certificaciones y validaciones pertinentes (p. ej., CASA Tier 2 para el complemento de Gmail), este DPA y su lista de subencargados (Anexo III), la Evaluación de Impacto de las Transferencias y un extracto del registro de las actividades de tratamiento. Kerna permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable del Tratamiento o de un auditor designado por este, con un preaviso razonable no inferior a 30 días y no más de una vez al año, en horario laboral y con sujeción a confidencialidad. Cuando lo exija una autoridad de control, tras una Violación de la Seguridad de los Datos Personales que afecte a los datos del Responsable del Tratamiento, o cuando el Responsable del Tratamiento disponga de pruebas creíbles de que Kerna no está cumpliendo este DPA, el Responsable del Tratamiento podrá realizar una auditoría adicional, con un preaviso más breve que sea razonable en función de las circunstancias.

Kerna podrá denegar el acceso cuando ello sea necesario para proteger: la seguridad o los datos personales de otros clientes; información amparada por el secreto profesional o sujeta a una obligación de confidencialidad frente a un tercero; o los secretos comerciales de Kerna, si bien la protección de los secretos comerciales no podrá utilizarse para frustrar la capacidad del Responsable del Tratamiento de verificar el cumplimiento. Cuando se deniegue el acceso, Kerna facilitará la información necesaria para verificar el cumplimiento por otros medios. Un auditor designado por el Responsable del Tratamiento no podrá ser un competidor de Kerna y deberá firmar un compromiso de confidencialidad. El Responsable del Tratamiento asume el coste de cualquier auditoría que inicie, salvo la realizada a raíz de una Violación de la Seguridad de los Datos Personales causada por Kerna.

Este DPA surte efecto junto con el Contrato y se mantiene en vigor mientras Kerna trate Datos Personales del Cliente. La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones y exclusiones de responsabilidad previstas en el Contrato, si bien nada de lo dispuesto en el Contrato ni en este DPA limita ni excluye: la responsabilidad que no pueda limitarse ni excluirse conforme a la ley; la responsabilidad frente a los interesados en virtud del artículo 82 del RGPD; la responsabilidad por fraude, conducta dolosa o negligencia grave; ni las obligaciones de cualquiera de las partes en virtud de la legislación aplicable en materia de protección de datos.

Este DPA se rige por el Derecho polaco y, cuando proceda, por el RGPD. Las controversias se someten a los tribunales competentes en el lugar del domicilio social de Kerna, salvo que el Contrato disponga otra cosa.

Idioma. Este DPA se formaliza en polaco y en inglés. Ambas versiones lingüísticas forman parte del acuerdo formalizado y pueden firmarse conjuntamente; las partes no están obligadas a formalizar únicamente el texto en polaco, y un Responsable del Tratamiento que firma el texto en inglés está firmando el acuerdo.

Si subsiste una discrepancia irreconciliable, prevalecerá la versión polaca para un Responsable del Tratamiento establecido (es decir, que tenga su domicilio social o su centro de actividad) en Polonia y la versión inglesa para un Responsable del Tratamiento establecido en cualquier otro lugar. Un Formulario de Pedido puede designar expresamente como prevalente la versión polaca o la versión inglesa. Esta regla se aplica únicamente a la resolución de discrepancias y no excluye del Contrato ninguna de las dos versiones.

Se trata de una regla de interpretación para el supuesto residual, no de una declaración de que alguno de los textos quede fuera del acuerdo. Kerna mantiene ambas versiones a partir de una única fuente y las modifica conjuntamente, por lo que las divergencias deberían ser poco frecuentes; cuando se produzcan, constituyen un error que debe corregirse y no una elección entre dos pactos distintos. Las traducciones de este DPA a otros idiomas se facilitan únicamente a título informativo; no forman parte del Contrato y no prevalecen sobre ninguna de las dos versiones.

• Cifrado TLS en tránsito en todos los tramos (TLS 1.3 entre el cliente y el backend; TLS 1.2 o superior en los tramos siguientes). HSTS aplicado de forma obligatoria.
• Cifrado AES-256 en reposo de todos los datos almacenados, con claves gestionadas por Google y rotación automática.
• El contenido de los correos electrónicos se trata en memoria y nunca se escribe en las bases de datos, los registros de actividad ni las copias de seguridad de Kerna.
• Dónde se conservan los datos derivados de los correos electrónicos: en el almacenamiento persistente de los servidores de Kerna, nada salvo los registros de flujo de trabajo que se describen más adelante, que no incluyen contenido alguno de correos electrónicos; en la memoria del servidor, copias de trabajo que se mantienen para que un usuario pueda volver a un resultado, durante unos 30 minutos en el complemento de Gmail y durante unos minutos en el caso de los buzones compartidos, y que después se descartan, o antes si el servidor se reinicia; en el propio dispositivo del usuario, en el almacenamiento del navegador del complemento de Outlook, los resultados relativos a un correo electrónico, durante una hora, los borradores de respuesta y de redacción y los resultados de la clasificación, durante 24 horas, y, durante 30 días, los elementos de la clasificación sin responder (asunto, remitente, fecha y el breve resumen de Kerna) y los identificadores de los mensajes marcados como completados, datos que se eliminan, cada uno una vez vencido su plazo, la próxima vez que Kerna se abra en ese dispositivo, y que se borran cuando el propio usuario realiza la supresión en ese dispositivo; en los registros de flujo de trabajo almacenados, como los registros de estado de los buzones compartidos y el registro de envíos de Enviar a…, únicamente identificadores, estados y horas, nunca el asunto ni el texto; en las copias de seguridad, únicamente lo que contiene la base de datos, por lo que no incluyen contenido alguno de correos electrónicos.
• Límites de entrada: cada acción envía únicamente el texto que necesita, hasta una longitud fija. Enmascaramiento antes de la transmisión: los números de tarjetas de pago, los IBAN y los números de cuentas bancarias polacas, los números PESEL polacos y los números de la Seguridad Social de EE. UU., en los formatos que Kerna reconoce, se sustituyen por marcadores de posición en el contenido de correo electrónico que envía una acción, incluidos los asuntos y las vistas previas de Clasificación de bandeja y los archivos adjuntos utilizados por Enviar a… o Responder con los adjuntos. Los demás datos personales, como nombres, direcciones de correo electrónico, números de teléfono y direcciones postales, se envían tal como aparecen. No se enmascaran los archivos leídos con la función Adjuntos, para que puedan extraerse de ellos datos como números de cuenta, ni el texto que escribe el usuario, como instrucciones y borradores.
• Conservación cero de datos y prohibición contractual de entrenamiento en el subencargado de IA: el contenido enviado para una acción de IA no se conserva ni se utiliza para entrenamiento. Verificado en la plataforma del subencargado, que deja constancia de que los registros de actividad no pueden guardarse en un proyecto con conservación cero de datos.
• Verificación de los resultados para detectar secretos filtrados.
• Autenticación mediante tokens de identidad verificados de Google y Microsoft, con fijación obligatoria de audiencia, emisor, caducidad y algoritmo, y aislamiento por usuario de las rutas de documentos, delimitado por el identificador de cuenta verificado.
• Limitación de frecuencia por usuario en las acciones de IA. Cabeceras de seguridad Helmet; CSP y CORS restrictivas; detección de inyecciones en las entradas.
• Analítica seudonimizada (HMAC-SHA256 con un pepper del lado del servidor); conservación de los datos analíticos durante 90 días.
• Los endpoints administrativos están protegidos por una lista de permitidos y una clave de API comparada en tiempo constante, además de un token de usuario válido, y en producción, en caso de fallo, deniegan el acceso (fail closed). Los permisos de mínimo privilegio para las cuentas de servicio están en revisión; la situación actual consta en la Política de Seguridad de la Información de Kerna, disponible para el Responsable del Tratamiento previa solicitud.
• Cloud Audit Logs para todas las acciones administrativas; revisiones de Cloud Run inmutables y atribuibles.
• Alojamiento y almacenamiento en regiones de la UE: Cloud Run europe-west1 (Bélgica); Firestore europe-central2 (Varsovia).
• Recuperación a un momento determinado de Firestore (7 días) y copias de seguridad diarias (conservación durante 90 días).
• Validación CASA Tier 2 para el complemento de Gmail.

Funcionamiento de los controles. Los secretos que pueden volver a emitirse siguen el calendario de rotación establecido en la Política de Seguridad de la Información, con rotación inmediata ante cualquier sospecha de compromiso. La limitación de frecuencia por usuario se aplica mediante un almacén compartido entre las instancias del servicio. Las evidencias de los controles se conservan con arreglo al Registro de Documentación.

Esta lista se mantiene actualizada en el lugar en que se publica este DPA, en kerna.io/dpa, y los cambios se notifican conforme a la cláusula 5. A la fecha de esta versión:

Google Analytics, Brevo y Stripe, mencionados también en la Política de privacidad de Kerna, prestan servicio al sitio web de Kerna, a los correos electrónicos que Kerna envía a sus usuarios y a la facturación propia de Kerna, actividades que Kerna lleva a cabo como responsable del tratamiento (cláusula 9b). No son Subencargados del Tratamiento en virtud de este DPA.

El presente Anexo se aplica a los Servicios con independencia de que el Reglamento (UE) 2023/2854 (Reglamento de Datos) les sea aplicable o no. Kerna aplica a los Servicios el capítulo VI del Reglamento de Datos como base contractual mínima: si una autoridad competente determina que los Servicios quedan fuera de su ámbito de aplicación, el Responsable del Tratamiento conserva los derechos previstos en el presente Anexo, salvo que las partes acuerden expresamente otra cosa.

Inicio del cambio de proveedor. El Responsable del Tratamiento podrá solicitar en cualquier momento el cambio a otro proveedor o a su propia infraestructura, o la supresión de sus datos exportables, escribiendo a privacy@kerna.io. El cambio de proveedor o la supresión se inicia cuando Kerna recibe la solicitud o en la fecha posterior que indique el Responsable del Tratamiento, dentro de los dos meses siguientes a la recepción de la solicitud (en ambos casos, la fecha de inicio). El plazo aplicable a una solicitud únicamente de supresión se establece en el apartado «Supresión».

Período transitorio. Kerna completa el cambio de proveedor dentro de un período transitorio de 30 días naturales a contar desde la fecha de inicio. El Contrato sigue en vigor durante dicho período: Kerna continúa prestando los Servicios, proporciona asistencia razonable al Responsable del Tratamiento y a cualquier proveedor que este haya elegido, señala los riesgos conocidos para la continuidad y mantiene un nivel elevado de seguridad durante todo el cambio de proveedor, también mientras se transfieren los datos y durante el período de recuperación de datos. Si el plazo de 30 días es técnicamente inviable, Kerna lo comunica al Responsable del Tratamiento en un plazo de 14 días hábiles desde la solicitud, expone los motivos y fija un período alternativo no superior a siete meses, durante el cual se aplican las mismas obligaciones. El Responsable del Tratamiento podrá prorrogar el período transitorio una vez, por un período que considere más adecuado.

Período de recuperación de datos. El Responsable del Tratamiento dispone de al menos 30 días naturales tras la finalización del período transitorio para recuperar sus datos exportables.

Datos exportables y activos digitales. La tabla siguiente constituye la lista exhaustiva de los datos y activos digitales que pueden exportarse. Kerna facilita la exportación previa solicitud, mediante un enlace de descarga seguro, en los formatos indicados; los Servicios no disponen de una función de exportación en régimen de autoservicio. Kerna actualiza esta lista antes de que los Servicios empiecen a conservar una nueva categoría de datos del Responsable del Tratamiento. Kerna no invoca la excepción relativa a los secretos comerciales respecto de ninguna categoría.

Supresión. Una vez completado el cambio de proveedor, Kerna suprime los datos exportables en un plazo de 30 días desde la finalización del período de recuperación de datos o desde una fecha posterior acordada con el Responsable del Tratamiento, con sujeción únicamente a la conservación exigida por la ley (cláusula 10). Cuando el Responsable del Tratamiento haya solicitado únicamente la supresión, Kerna suprime los datos exportables en un plazo de 30 días desde la fecha de inicio, el mismo plazo que para la supresión de la cuenta de equipo conforme a la cláusula 10, y confirma la supresión por escrito. El Contrato se considera terminado, y Kerna notifica la terminación al Responsable del Tratamiento, al completarse con éxito el cambio de proveedor o, en el caso de una solicitud únicamente de supresión, en la fecha de inicio. La terminación al completarse un cambio de proveedor no pone fin al período de recuperación de datos: el Responsable del Tratamiento puede seguir recuperando sus datos exportables hasta que finalice dicho período, las obligaciones de seguridad previstas en el apartado «Período transitorio» siguen aplicándose hasta entonces y el plazo de supresión de 30 días solo empieza a contar desde el final de dicho período o desde una fecha posterior acordada con el Responsable del Tratamiento. Las copias conservadas en las copias de seguridad expiran según lo establecido en la cláusula 10.

Tarifas. Kerna no cobra importe alguno por el cambio de proveedor ni por la exportación de datos.

Ausencia de obstáculos. Kerna no pone ningún obstáculo precomercial, comercial, técnico, contractual u organizativo al cambio de proveedor.

Infraestructura y acceso gubernamental. La infraestructura de alojamiento y almacenamiento de Kerna se encuentra en la Unión Europea; el tratamiento mediante IA por parte de OpenAI y el acceso por parte de Sentry tienen lugar en los Estados Unidos (cláusula 9 y Anexo III). Las medidas del Anexo II protegen los datos no personales contenidos en los Servicios frente al acceso ilícito, incluido el acceso gubernamental internacional que entre en conflicto con el Derecho de la Unión o de los Estados miembros, del mismo modo que los datos personales.